Download.com và những người khác Gói phần mềm quảng cáo đột phá HTTPS kiểu Superfish



Đó là khoảng thời gian đáng sợ khi trở thành người dùng Windows. Lenovo đã gói phần mềm quảng cáo Superfish tấn công HTTPS , Comodo đưa ra một lỗ hổng bảo mật thậm chí còn tồi tệ hơn được gọi là PrivDog,hàng tá ứng dụng khác như LavaSoft đang làm như vậy. Điều đó thực sự tồi tệ, nhưng nếu bạn muốn các phiên web được mã hóa của mình bị tấn công, chỉ cần truy cập Tải xuống CNET hoặc bất kỳ trang web phần mềm miễn phí nào, vì tất cả chúng đều đang đi kèm phần mềm quảng cáo phá vỡ HTTPS.

CÓ LIÊN QUAN: Đây là những gì sẽ xảy ra khi bạn cài đặt 10 ứng dụng Download.com hàng đầu





Sự thất bại của Superfish bắt đầu khi các nhà nghiên cứu nhận thấy rằng Superfish, được đóng gói trên máy tính Lenovo, đang cài đặt một chứng chỉ gốc giả mạo vào Windows về cơ bản chiếm quyền điều khiển tất cả quá trình duyệt HTTPS để các chứng chỉ luôn có giá trị ngay cả khi chúng không có và họ đã làm điều đó trong một một cách không an toàn mà bất kỳ hacker nào có tập lệnh trẻ em cũng có thể thực hiện được điều tương tự.

Và sau đó họ đang cài đặt một proxy vào trình duyệt của bạn và buộc tất cả những người bạn đang duyệt qua nó để họ có thể chèn quảng cáo. Đúng vậy, ngay cả khi bạn kết nối với ngân hàng hoặc trang web bảo hiểm sức khỏe của mình hoặc bất kỳ nơi nào cần được bảo mật. Và bạn sẽ không bao giờ biết, bởi vì họ đã phá vỡ mã hóa Windows để hiển thị quảng cáo cho bạn.



Nhưng thực tế đáng buồn là họ không phải là những người duy nhất làm điều này - phần mềm quảng cáo như Wajam, Geniusbox, Content Explorer và những phần mềm khác đều đang làm điều tương tự , cài đặt chứng chỉ của riêng họ và buộc tất cả trình duyệt của bạn (bao gồm cả các phiên duyệt được mã hóa HTTPS) phải đi qua máy chủ proxy của họ. Và bạn có thể bị lây nhiễm bởi điều vô nghĩa này chỉ bằng cách cài đặt hai trong số 10 ứng dụng hàng đầu trên CNET Downloads.

Điểm mấu chốt là bạn không thể tin tưởng vào biểu tượng ổ khóa màu xanh lục đó trên thanh địa chỉ của trình duyệt nữa. Và đó là một điều đáng sợ, đáng sợ.

HTTPS-Hijacking Adware hoạt động như thế nào và tại sao nó lại tệ như vậy

Ummm, tôi cần bạn tiếp tục và đóng tab đó. Mmkay?



Như chúng tôi đã trình bày trước đây, nếu bạn mắc phải sai lầm lớn khi tin tưởng vào CNET Downloads, thì bạn đã có thể bị nhiễm loại phần mềm quảng cáo này. Hai trong số mười lượt tải xuống hàng đầu trên CNET (KMPlayer và YTD) đang đóng gói hai loại phần mềm quảng cáo chiếm quyền điều khiển HTTPS khác nhau và trong nghiên cứu của mình, chúng tôi nhận thấy rằng hầu hết các trang web phần mềm miễn phí khác cũng đang làm điều tương tự.

Quảng cáo

Ghi chú: những người cài đặt rất phức tạp và phức tạp đến mức chúng tôi không chắc ai là người về mặt kỹ thuật thực hiện gói, nhưng CNET đang quảng cáo các ứng dụng này trên trang chủ của họ, vì vậy đó thực sự là vấn đề về ngữ nghĩa. Nếu bạn khuyên mọi người tải xuống thứ gì đó không tốt, bạn cũng có lỗi như nhau. Chúng tôi cũng nhận thấy rằng nhiều công ty phần mềm quảng cáo này bí mật giống những người sử dụng các tên công ty khác nhau.

Chỉ dựa trên số lượt tải xuống từ danh sách 10 người hàng đầu trên CNET Downloads, hàng tháng có hàng triệu người bị nhiễm phần mềm quảng cáo đang chiếm quyền điều khiển các phiên web được mã hóa của họ vào ngân hàng hoặc email hoặc bất kỳ thứ gì cần được bảo mật.

Nếu bạn đã mắc lỗi khi cài đặt KMPlayer và bạn quản lý để bỏ qua tất cả các crapware khác, bạn sẽ thấy cửa sổ này. Và nếu bạn vô tình nhấp vào Chấp nhận (hoặc nhấn phím sai) hệ thống của bạn sẽ bị pwned.

Các trang web tải xuống phải tự xấu hổ.

Nếu cuối cùng bạn tải xuống nội dung nào đó từ một nguồn thậm chí còn sơ sài hơn, chẳng hạn như quảng cáo tải xuống trong công cụ tìm kiếm yêu thích của mình, bạn sẽ thấy toàn bộ danh sách nội dung không tốt. Và bây giờ chúng tôi biết rằng nhiều người trong số họ sẽ phá vỡ hoàn toàn xác thực chứng chỉ HTTPS, khiến bạn hoàn toàn dễ bị tổn thương.

Lavasoft Web Companion cũng phá vỡ mã hóa HTTPS, nhưng gói này cũng cài đặt phần mềm quảng cáo.

Khi bạn bị nhiễm bất kỳ một trong những điều này, điều đầu tiên sẽ xảy ra là nó đặt proxy hệ thống của bạn chạy thông qua proxy cục bộ mà nó cài đặt trên máy tính của bạn. Đặc biệt chú ý đến mục Bảo mật bên dưới. Trong trường hợp này, đó là từ Wajam Internet Enhancer, nhưng có thể là Superfish hoặc Geniusbox hoặc bất kỳ ứng dụng nào khác mà chúng tôi đã tìm thấy, tất cả chúng đều hoạt động theo cùng một cách.

Thật trớ trêu khi Lenovo đã sử dụng từ tăng cường để mô tả Superfish.

Quảng cáo

Khi truy cập một trang web cần được bảo mật, bạn sẽ thấy biểu tượng ổ khóa màu xanh lục và mọi thứ sẽ hoàn toàn bình thường. Bạn thậm chí có thể nhấp vào ổ khóa để xem chi tiết và nó sẽ xuất hiện thông báo rằng mọi thứ đều ổn. Bạn đang sử dụng kết nối an toàn và thậm chí Google Chrome sẽ báo cáo rằng bạn được kết nối với Google bằng kết nối an toàn. Nhưng bạn thì không!

Hệ thống Cảnh báo LLC không phải là chứng chỉ gốc thực sự và bạn thực sự đang sử dụng proxy Man-in-the-Middle đang chèn quảng cáo vào các trang (và ai biết được điều gì khác). Bạn chỉ nên gửi email cho họ tất cả mật khẩu của bạn, nó sẽ dễ dàng hơn.

Cảnh báo hệ thống: Hệ thống của bạn đã bị xâm phạm.

Sau khi phần mềm quảng cáo được cài đặt và ủy thác tất cả lưu lượng truy cập của bạn, bạn sẽ bắt đầu thấy những quảng cáo thực sự đáng ghét ở khắp nơi. Những quảng cáo này hiển thị trên các trang web an toàn, như Google, thay thế các quảng cáo thực tế của Google hoặc chúng hiển thị dưới dạng cửa sổ bật lên ở khắp nơi, tiếp quản mọi trang web.

Tôi muốn Google của mình không có liên kết phần mềm độc hại, cảm ơn.

Hầu hết phần mềm quảng cáo này cho thấy các liên kết quảng cáo đến phần mềm độc hại hoàn toàn. Vì vậy, trong khi bản thân phần mềm quảng cáo có thể là một mối phiền toái pháp lý, chúng cho phép một số thứ thực sự, thực sự tồi tệ.

Họ thực hiện điều này bằng cách cài đặt chứng chỉ gốc giả mạo của họ vào kho lưu trữ chứng chỉ Windows và sau đó ủy quyền các kết nối an toàn trong khi ký chúng bằng chứng chỉ giả của họ.

Nếu bạn nhìn trong bảng Chứng chỉ Windows, bạn có thể thấy tất cả các loại chứng chỉ hoàn toàn hợp lệ… nhưng nếu PC của bạn được cài đặt một số loại phần mềm quảng cáo, bạn sẽ thấy những thứ giả mạo như Cảnh báo Hệ thống, LLC hoặc Superfish, Wajam hoặc hàng tá hàng giả khác.

Đó là từ tập đoàn Umbrella?

Quảng cáo

Ngay cả khi bạn đã bị nhiễm và sau đó đã xóa phần mềm độc hại, các chứng chỉ vẫn có thể ở đó, khiến bạn dễ bị tấn công bởi những tin tặc khác có thể đã trích xuất khóa riêng tư. Nhiều trình cài đặt phần mềm quảng cáo không xóa chứng chỉ khi bạn gỡ cài đặt chúng.

Tất cả đều là cuộc tấn công của người đàn ông ở giữa và đây là cách chúng hoạt động

Đây là từ một cuộc tấn công trực tiếp thực sự của nhà nghiên cứu bảo mật tuyệt vời Rob Graham

Nếu PC của bạn đã cài đặt chứng chỉ gốc giả mạo trong kho chứng chỉ, thì giờ đây bạn rất dễ bị tấn công Man-in-the-Middle. Điều này có nghĩa là nếu bạn kết nối với một điểm phát sóng công cộng, hoặc ai đó có quyền truy cập vào mạng của bạn hoặc quản lý để hack một thứ gì đó ngược dòng từ bạn, họ có thể thay thế các trang web hợp pháp bằng các trang web giả mạo. Điều này nghe có vẻ xa vời, nhưng tin tặc đã có thể sử dụng xâm nhập DNS trên một số trang web lớn nhất trên web để tấn công người dùng vào một trang web giả mạo.

Khi bạn bị xâm nhập, chúng có thể đọc mọi thứ mà bạn gửi đến một trang web riêng tư - mật khẩu, thông tin cá nhân, thông tin sức khỏe, email, số an sinh xã hội, thông tin ngân hàng, v.v. Và bạn sẽ không bao giờ biết vì trình duyệt của bạn sẽ cho bạn biết rằng kết nối của bạn được bảo mật.

Điều này hoạt động vì mã hóa khóa công khai yêu cầu cả khóa công khai và khóa riêng tư. Khóa công khai được cài đặt trong kho chứng chỉ và khóa riêng tư chỉ được biết bởi trang web bạn đang truy cập. Nhưng khi những kẻ tấn công có thể chiếm đoạt chứng chỉ gốc của bạn và giữ cả khóa công khai và khóa riêng tư, chúng có thể làm bất cứ điều gì chúng muốn.

Trong trường hợp của Superfish, họ đã sử dụng cùng một khóa riêng trên mọi máy tính đã cài đặt Superfish và trong vòng vài giờ, các nhà nghiên cứu bảo mật đã có thể giải nén các khóa riêng tư và tạo các trang web để kiểm tra xem bạn có dễ bị tổn thương không , và chứng minh rằng bạn có thể bị tấn công. Đối với Wajam và Geniusbox, các khóa là khác nhau, nhưng Content Explorer và một số phần mềm quảng cáo khác cũng sử dụng các khóa giống nhau ở mọi nơi, có nghĩa là vấn đề này không phải riêng với Superfish.

Tệ hơn nữa: Hầu hết chuyện tào lao này vô hiệu hóa hoàn toàn quá trình xác thực HTTPS

Chỉ mới ngày hôm qua, các nhà nghiên cứu bảo mật đã phát hiện ra một vấn đề còn lớn hơn: Tất cả các proxy HTTPS này đều vô hiệu hóa tất cả xác thực trong khi làm cho mọi thứ trông giống như mọi thứ đều ổn.

Quảng cáo

Điều đó có nghĩa là bạn có thể truy cập vào một trang web HTTPS có chứng chỉ hoàn toàn không hợp lệ và phần mềm quảng cáo này sẽ cho bạn biết rằng trang web đó vẫn ổn. Chúng tôi đã thử nghiệm phần mềm quảng cáo mà chúng tôi đã đề cập trước đó và tất cả chúng đều đang tắt hoàn toàn xác thực HTTPS, vì vậy không quan trọng nếu các khóa riêng tư là duy nhất hay không. Tệ một cách đáng kinh ngạc!

Tất cả các phần mềm quảng cáo này hoàn toàn phá vỡ kiểm tra chứng chỉ.

Bất kỳ ai đã cài đặt phần mềm quảng cáo đều dễ bị tấn công và trong nhiều trường hợp tiếp tục dễ bị tấn công ngay cả khi phần mềm quảng cáo đã được gỡ bỏ.

Bạn có thể kiểm tra xem mình có dễ bị Superfish, Komodia hoặc kiểm tra chứng chỉ không hợp lệ hay không bằng cách sử dụng trang web thử nghiệm được tạo bởi các nhà nghiên cứu bảo mật , nhưng như chúng tôi đã chứng minh, có rất nhiều phần mềm quảng cáo ngoài kia đang làm điều tương tự và từ nghiên cứu của chúng tôi, mọi thứ sẽ tiếp tục trở nên tồi tệ hơn.

Bảo vệ bản thân: Kiểm tra bảng điều khiển chứng chỉ và xóa các mục nhập sai

Nếu lo lắng, bạn nên kiểm tra kho chứng chỉ của mình để đảm bảo rằng bạn không cài đặt bất kỳ chứng chỉ sơ sài nào mà sau này máy chủ proxy của ai đó có thể kích hoạt được. Điều này có thể hơi phức tạp, bởi vì có rất nhiều thứ trong đó và hầu hết chúng được cho là ở đó. Chúng tôi cũng không có danh sách tốt về những gì nên và không nên ở đó.

Sử dụng WIN + R để kéo hộp thoại Run lên, sau đó gõ mmc để kéo lên cửa sổ Microsoft Management Console. Sau đó, sử dụng Tệp -> Thêm / Loại bỏ Snap-in và chọn Chứng chỉ từ danh sách ở bên trái, rồi thêm nó vào bên phải. Đảm bảo chọn Tài khoản máy tính trên hộp thoại tiếp theo, sau đó nhấp qua phần còn lại.

Bạn sẽ muốn đến Tổ chức phát hành chứng chỉ gốc đáng tin cậy và tìm kiếm các mục nhập thực sự sơ sài như bất kỳ mục nào trong số này (hoặc bất kỳ thứ gì tương tự như những mục này)

  • Sendori
  • Purelead
  • Tab tên lửa
  • Siêu cá
  • Tra cứu
  • Pando
  • Wajam
  • WajaNEnhance
  • DO_NOT_TRUSTFiddler_root (Fiddler là một công cụ dành cho nhà phát triển hợp pháp nhưng phần mềm độc hại đã chiếm đoạt chứng chỉ của họ)
  • Cảnh báo hệ thống, LLC
  • CE_UmbrellaCert
Quảng cáo

Nhấp chuột phải và Xóa bất kỳ mục nhập nào mà bạn tìm thấy. Nếu bạn thấy điều gì đó không chính xác khi kiểm tra Google trong trình duyệt của mình, hãy nhớ xóa điều đó đi. Chỉ cần cẩn thận, bởi vì nếu bạn xóa những thứ sai ở đây, bạn sẽ phá vỡ Windows.

Chúng tôi hy vọng rằng Microsoft phát hành một cái gì đó để kiểm tra chứng chỉ gốc của bạn và đảm bảo rằng chỉ những chứng chỉ tốt mới có ở đó. Về mặt lý thuyết, bạn có thể sử dụng danh sách này từ Microsoft về các chứng chỉ mà Windows yêu cầu , và sau đó cập nhật các chứng chỉ gốc mới nhất , nhưng điều đó hoàn toàn chưa được kiểm tra tại thời điểm này và chúng tôi thực sự không khuyên bạn nên làm điều đó cho đến khi ai đó kiểm tra điều này.

Tiếp theo, bạn sẽ cần mở trình duyệt web của mình và tìm các chứng chỉ có thể được lưu trong bộ nhớ cache ở đó. Đối với Google Chrome, đi tới Cài đặt, Cài đặt nâng cao, sau đó chuyển đến Quản lý chứng chỉ. Trong Cá nhân, bạn có thể dễ dàng nhấp vào nút Xóa trên bất kỳ chứng chỉ không hợp lệ nào…

Nhưng khi bạn truy cập Tổ chức phát hành chứng chỉ gốc đáng tin cậy, bạn sẽ phải nhấp vào Nâng cao và sau đó bỏ chọn mọi thứ bạn thấy để ngừng cấp quyền cho chứng chỉ đó…

Nhưng điều đó thật điên rồ.

CÓ LIÊN QUAN: Ngừng cố gắng làm sạch máy tính bị nhiễm trùng của bạn! Chỉ cần Nuke nó và cài đặt lại Windows

Chuyển đến cuối cửa sổ Cài đặt nâng cao và nhấp vào Đặt lại cài đặt để đặt lại hoàn toàn Chrome về mặc định. Thực hiện tương tự đối với bất kỳ trình duyệt nào khác mà bạn đang sử dụng hoặc gỡ cài đặt hoàn toàn, xóa tất cả cài đặt rồi cài đặt lại.

Nếu máy tính của bạn đã bị ảnh hưởng, có lẽ bạn nên thực hiện cài đặt Windows hoàn toàn sạch sẽ . Chỉ cần đảm bảo sao lưu tài liệu và hình ảnh của bạn và tất cả những thứ đó.

Vì vậy, làm thế nào để bạn tự bảo vệ mình?

Gần như không thể tự bảo vệ mình một cách hoàn toàn, nhưng dưới đây là một số nguyên tắc thông thường để giúp bạn:

Quảng cáo

Nhưng đó là một công việc tồi tệ vì chỉ muốn duyệt web mà không bị chiếm quyền điều khiển. Nó giống như đối phó với TSA.

Hệ sinh thái Windows là một loạt các crapware. Và bây giờ bảo mật cơ bản của Internet đã bị phá vỡ đối với người dùng Windows. Microsoft cần phải sửa lỗi này.

ĐỌC TIẾP Ảnh hồ sơ cho Lowell Heddings Lowell Heddings
Lowell là người sáng lập và Giám đốc điều hành của How-To Geek. Anh ấy đã điều hành chương trình kể từ khi tạo ra trang web vào năm 2006. Trong thập kỷ qua, Lowell đã tự mình viết hơn 1000 bài báo được hơn 250 triệu người xem. Trước khi bắt đầu How-To Geek, Lowell đã có 15 năm làm việc trong lĩnh vực CNTT với các công việc tư vấn, an ninh mạng, quản lý cơ sở dữ liệu và lập trình.
Đọc đầy đủ tiểu sử

Bài ViếT Thú Vị